Cómo configurar MFA para Sophos VPN mediante RADIUS

Puede configurar fácilmente la autenticación de dos factores (2FA) para Sophos Firewall VPN con Protectimus mediante el protocolo RADIUS. Al añadir MFA como capa de seguridad adicional, puede proteger mejor el acceso remoto a su red incluso si la contraseña de un usuario se ve comprometida.

Protectimus habilita la autenticación multifactor para Sophos Firewall VPN mediante Protectimus RADIUS Server. Recibe las solicitudes de autenticación de Sophos Firewall, verifica los factores de autenticación y devuelve una respuesta que permite o deniega el acceso.

A continuación se muestra el esquema de funcionamiento de la solución Protectimus para la autenticación de dos factores de Sophos Firewall VPN.

1. Cómo funciona la 2FA para Sophos Firewall VPN

La solución de autenticación de dos factores Protectimus para Sophos Firewall VPN proporciona una capa de seguridad adicional para impedir el acceso no autorizado a su VPN.

Una vez habilitada la autenticación de dos factores (2FA) para Sophos Firewall VPN, los usuarios se autentican mediante dos factores diferentes:

1. El primer factor es un nombre de usuario y una contraseña (algo que el usuario sabe);
2. El segundo factor es una contraseña de un solo uso generada con un token OTP de hardware o una aplicación de autenticación en un smartphone (algo que el usuario posee).

Esto significa que una contraseña comprometida por sí sola no basta para acceder a Sophos Firewall VPN, ya que también se requiere una contraseña de un solo uso válida.

2. Cómo habilitar la 2FA para Sophos Firewall VPN

Puede configurar la autenticación multifactor (2FA) para Sophos Firewall VPN con Protectimus mediante el protocolo RADIUS:

1. Regístrese en Protectimus Cloud Service o instale la plataforma MFA local y configure los ajustes básicos.
2. Instale y configure Protectimus RADIUS Server.
3. Añada Protectimus como servidor RADIUS en Sophos Firewall.
4. Configure Sophos Firewall para que utilice Protectimus RADIUS Server para la autenticación de VPN.

2.1. Registro y configuración básica de Protectimus

Elija la opción de implementación y complete la configuración básica:

Servicio en la nube de Protectimus

1. Regístrese en Protectimus Cloud Service y active la API.
2. Añada un recurso.
3. Añada usuarios.
4. Añada tokens manualmente o active el Portal de autoservicio de usuarios.
5. Asigne tokens a los usuarios.
6. Asigne usuarios y tokens al recurso.

Plataforma local de Protectimus

1. Instale la plataforma local de Protectimus. Si instala la plataforma Protectimus en Windows, seleccione la opción RADIUS durante la instalación.
2. Añada un recurso.
3. Añada usuarios.
4. Añada tokens manualmente o active el Portal de autoservicio de usuarios.
5. Asigne tokens a los usuarios.
6. Asigne los tokens junto con los usuarios al recurso.

2.2. Instalación y configuración de Protectimus RADIUS Server

Instale y configure Protectimus RADIUS Server siguiendo nuestra guía de instalación de Protectimus RADIUS Server.

Al configurar RADIUS Server, asegúrese de que Sophos Firewall pueda enviar solicitudes de autenticación a Protectimus RADIUS Server y anote el puerto de autenticación y el secreto compartido. Deberá especificar los mismos ajustes al configurar el servidor RADIUS en Sophos Firewall.

Nota: Si su cliente Sophos VPN no admite el flujo RADIUS Access-Challenge para la autenticación OTP, configure Protectimus RADIUS Server para que utilice el modo inline. En este modo, la contraseña del usuario y la contraseña de un solo uso se envían juntas en una única solicitud de autenticación.

2.3. Adición de Protectimus como servidor RADIUS en Sophos Firewall

1. Inicie sesión en la consola web de administración de Sophos Firewall.
2. Vaya a Authentication → Servers.
3. Haga clic en Add para añadir un nuevo servidor de autenticación.
   
   
   
   
4. Configure los ajustes del servidor RADIUS de la siguiente manera.
   
   

   Server type	Seleccione RADIUS server.
   Server name	Introduzca un nombre para el servidor, por ejemplo, Protectimus RADIUS Server.
   Server IP	Introduzca la dirección IP del servidor en el que está instalado el componente Protectimus RADIUS Server.
   Authentication port	Introduzca 1812, o el puerto de autenticación configurado para Protectimus RADIUS Server.
   Time-out	Establezca el tiempo de espera en 60 segundos.
   Enable accounting	Habilite esta opción.
   Accounting port	Introduzca 1813.
   Shared secret	Introduzca el mismo secreto compartido configurado para el cliente Sophos Firewall en la configuración de Protectimus RADIUS Server.
   Domain Name	Introduzca el nombre de su dominio si es necesario. Este campo es opcional.
   Group name attribute	Introduzca el atributo de nombre de grupo configurado para su instalación de RADIUS.

   
   
5. Haga clic en Test connection y proporcione las credenciales de usuario necesarias para verificar la conexión con el servidor RADIUS.


6. Haga clic en Save para guardar la configuración del servidor RADIUS.
   
   
   

2.4. Configuración de Sophos Firewall para usar Protectimus RADIUS en la autenticación de VPN

Esta guía presupone que la conexión VPN necesaria ya está configurada en Sophos Firewall.

Después de añadir Protectimus RADIUS Server, configure Sophos Firewall para que lo utilice como fuente de autenticación del servicio VPN correspondiente.

1. Vaya a Authentication → Services.
2. Para los métodos de autenticación de VPN (IPsec/dial-in/L2TP/PPTP), seleccione Protectimus RADIUS Server como servidor de autenticación.
   
   
   
   
3. Para los métodos de autenticación de SSL VPN, seleccione Set authentication method for SSL VPN, y a continuación seleccione Protectimus RADIUS Server.
   
   
   
   
4. Haga clic en Apply en cada sección que configure.

3. Prueba de MFA para Sophos Firewall VPN

Después de configurar Protectimus RADIUS Server como fuente de autenticación del servicio VPN correspondiente, pruebe la configuración conectándose a la Sophos Firewall VPN correspondiente.

Complete la autenticación utilizando las credenciales del usuario y la contraseña de un solo uso. Si se utiliza el modo inline, introduzca en el campo de contraseña la contraseña del usuario seguida de la contraseña de un solo uso. Por ejemplo, si la contraseña es Password123 y la OTP es 456789, introduzca Password123456789 en el campo de contraseña.

Si ambos factores de autenticación se verifican correctamente, se concederá al usuario acceso a la VPN.

La integración de la autenticación de dos factores (2FA/MFA) para Sophos Firewall VPN mediante Protectimus RADIUS Server ya está completa.

Si tiene alguna otra pregunta, póngase en contacto con el servicio de soporte de Protectimus.